哪种设计最能保持账户余额永不为负的不变量？

哪种设计最能保持账户余额永不为负的不变量？

1. 把余额设为 private，并公开经过校验的存款和取款操作。
2. 把余额设为 private，但提供不受限制的 setter。
3. 把余额设为 public，并用文档提醒调用方小心。
4. 返回可变余额容器，让调用方高效更新。